Le 5 octobre 2026, plusieurs journaux nationaux ont décrit le même mécanisme inquiétant : un moteur de recherche accessible à tout internaute, qui restitue à partir d’un simple nom et d’un prénom des informations présentées comme confidentielles — adresse postale, numéro de téléphone, numéro de sécurité sociale, voire coordonnées bancaires — et qui propose aux personnes concernées de faire supprimer ces informations moyennant paiement. Le Parisien du 5 octobre 2026, avec l’Agence France-Presse, rapporte que le site revendique plus de onze milliards d’enregistrements issus de fuites de données déjà rendues publiques, françaises et internationales. Le même jour, la ministre déléguée à l’Intelligence artificielle et au Numérique a annoncé saisir la justice par un signalement au titre de l’article 40 du code de procédure pénale adressé au procureur de Paris, en affirmant qu’aucune plateforme n’était au-dessus des lois, que ceux qui feraient commerce des données devraient répondre de leurs actes, et en invitant les personnes concernées à ne jamais payer pour faire retirer leurs données. À la date de rédaction du présent article, ce signalement ne constitue ni une condamnation ni une responsabilité établie : aucune décision de justice n’a été rendue sur cette affaire, les faits restent à établir par l’enquête, et seule la justice décidera. Cet article ne vise aucune entreprise nommée et ne formule aucun constat sur une situation particulière : il expose, de façon générale, les droits et les recours ouverts à toute personne dont les données personnelles circulent sur un moteur de recherche alimenté par des fuites. La première partie détaille comment obtenir l’effacement, d’abord auprès du responsable du traitement et de la CNIL, ensuite devant le juge ; la seconde explique quelles sanctions pénales sont encourues et comment obtenir réparation d’un préjudice prouvé.
I. Comment obtenir l’effacement de vos données personnelles
A. Comment demander l’effacement au responsable du traitement et saisir la CNIL
Lorsqu’un moteur de recherche collecte des données issues de fuites, les indexe et les restitue à partir du nom d’une personne, il met en œuvre un traitement de données à caractère personnel au sens du droit français et européen. La personne concernée n’est pas démunie face à ce traitement : la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés lui ouvre une série de droits qu’elle exerce d’abord directement auprès de celui qui exploite le service. Le premier réflexe consiste à demander l’accès aux données détenues : l’article 49 de cette loi dispose que « Le droit d’accès de la personne concernée s’exerce dans les conditions prévues à l’article 15 du règlement (UE) 2016/679 du 27 avril 2016. » Connaître précisément ce que le service détient permet ensuite de viser juste dans la demande d’effacement. La rectification des données inexactes suit la même logique : l’article 50 de la même loi prévoit que « Le droit de rectification s’exerce dans les conditions prévues à l’article 16 du règlement (UE) 2016/679 du 27 avril 2016. » Ces deux droits servent de point d’appui avant d’exiger la suppression.
Le cœur du dispositif est le droit à l’effacement. L’article 51 de la loi du 6 janvier 1978 énonce que « I.-Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016. » Des données obtenues sans base légale, collectées de façon déloyale ou conservées sans nécessité répondent typiquement aux cas d’effacement prévus par ce cadre. Le même article ajoute une protection renforcée pour les mineurs : « En particulier, sur demande de la personne concernée, le responsable du traitement est tenu d’effacer dans les meilleurs délais les données à caractère personnel qui ont été collectées dans le cadre de l’offre de services de la société de l’information lorsque la personne concernée était mineure au moment de la collecte. » Les parents d’un adolescent dont les données circulent disposent donc d’un levier direct et rapide. Parallèlement, le droit d’opposition permet de faire cesser un traitement pour des motifs tenant à la situation particulière de la personne : l’article 56 de la loi dispose que « Le droit d’opposition s’exerce dans les conditions prévues à l’article 21 du règlement (UE) 2016/679 du 27 avril 2016. » Ce même article précise que « Ce droit ne s’applique pas lorsque le traitement répond à une obligation légale », réserve qui ne couvre évidemment pas un moteur de recherche privé alimenté par des fuites.
En pratique, la demande s’adresse par écrit au responsable du traitement, de façon à conserver une trace datée : courrier avec accusé de réception ou message électronique dont on garde copie, identité justifiée, liste précise des données visées et fondement invoqué. La loi organise ensuite un calendrier strict qui fait courir les droits de la personne : l’article 51 prévoit qu’« En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation. » Autrement dit, un mois sans exécution ni réponse ouvre la voie de la CNIL, qui statue sous trois semaines. Devant la Commission, le dossier doit comprendre la demande initiale, la preuve de son envoi et de sa date, ainsi que tout élément montrant que les données sont toujours accessibles, par exemple des captures datées. Les pouvoirs de la Commission face à un responsable récalcitrant sont gradués : l’article 20 de la loi du 6 janvier 1978 permet à son président d’« avertir un responsable de traitement ou son sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi », puis, en cas de manquement persistant, de « le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l’objet d’une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu’il fixe. » Enfin, si des données risquent d’être effacées par l’exploitant pour faire disparaître les traces, la loi anticipe la manœuvre : l’article 49 ajoute qu’« En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition. » Dernier point, essentiel : ne versez aucune somme pour obtenir un effacement. La ministre l’a rappelé le 5 octobre 2026 en invitant les personnes concernées à ne jamais payer pour un retrait, et payer affaiblirait en outre votre position ultérieure, car le droit à l’effacement s’exerce sans contrepartie financière et son éventuel monnayage par l’exploitant, s’il était établi, relèverait de l’appréciation du juge et de la CNIL, pas d’une transaction privée.
B. Comment obtenir du juge le retrait et le déréférencement
Lorsque la demande amiable et la saisine de la CNIL ne suffisent pas, ou en parallèle de ces démarches, le juge peut ordonner le retrait des contenus et le déréférencement des liens. Le fondement de droit commun est le respect de la vie privée : l’article 9 du code civil proclame que « Chacun a droit au respect de sa vie privée. » Le même article donne au juge des pouvoirs énergiques : « Les juges peuvent, sans préjudice de la réparation du dommage subi, prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée : ces mesures peuvent, s’il y a urgence, être ordonnées en référé. » Une adresse personnelle, un numéro de sécurité sociale ou des coordonnées bancaires diffusés sans autorisation relèvent typiquement de l’intimité de la vie privée, et l’urgence se caractérise sans peine quand chacun peut y accéder en un clic. Le juge des référés peut donc être saisi rapidement pour faire cesser la diffusion, sans attendre un procès au fond.
S’agissant des moteurs de recherche, la Cour de cassation a fixé un cadre précis que tout demandeur doit connaître avant d’agir. Dans un arrêt du 14 février 2018 rendu sur le pourvoi n° 17-10.499 et publié au Bulletin, la première chambre civile, statuant sur une demande de déréférencement dirigée contre l’exploitant d’un moteur de recherche, a jugé, au visa des articles 38 et 40 de la loi du 6 janvier 1978 dans leur rédaction alors applicable et de l’arrêt Google Spain rendu le 13 mai 2014 par la Cour de justice de l’Union européenne (C-131/12), que « la juridiction saisie d’une demande de déréférencement est tenue de porter une appréciation sur son bien-fondé et de procéder, de façon concrète, à la mise en balance des intérêts en présence, de sorte qu’elle ne peut ordonner une mesure d’injonction d’ordre général conférant un caractère automatique à la suppression de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages internet contenant des informations relatives à cette personne ». Concrètement, le juge examine lien par lien : il met en balance, d’un côté, l’intérêt des internautes à accéder à l’information et, de l’autre, les droits de la personne au respect de sa vie privée et à la protection de ses données. Une demande rédigée en termes généraux, qui réclamerait la suppression automatique de tout résultat futur signalé par le demandeur, serait rejetée sur ce fondement : la Cour a d’ailleurs cassé partiellement sans renvoi l’arrêt qui avait prononcé une telle injonction générale. La leçon pratique est claire : identifiez précisément chaque adresse visée, expliquez en quoi chacune porte atteinte à votre vie privée, et demandez des mesures ciblées, éventuellement sous astreinte, plutôt qu’un blanc-seing.
Ce contrôle se resserre encore lorsque les données sont sensibles. Dans un arrêt du 27 novembre 2019 rendu sur le pourvoi n° 18-14.675, publié au Bulletin et au Rapport, la première chambre civile a jugé, au visa des articles 9, 38 et 40 de la loi du 6 janvier 1978 dans leur rédaction applicable au litige et de l’arrêt rendu le 24 septembre 2019 par la Cour de justice de l’Union européenne (GC contre Commission nationale de l’informatique et des libertés, C-136/17), que lorsqu’une juridiction est saisie d’une demande de déréférencement portant sur un lien vers une page internet sur laquelle des données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté sont publiées, « elle doit, pour porter une appréciation sur son bien-fondé, vérifier, de façon concrète, si l’inclusion du lien litigieux dans la liste des résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, répond à un motif d’intérêt public important, tel que le droit à l’information du public, et si elle est strictement nécessaire pour assurer la préservation de cet intérêt ». Autrement dit, pour des données sensibles — et un numéro de sécurité sociale ou des coordonnées bancaires présentent une sensibilité au moins équivalente —, l’ingérence dans la vie privée est jugée particulièrement grave, et le maintien du lien n’est admis que s’il est strictement nécessaire à un motif important d’intérêt public. Dans cette affaire, la Cour a cassé l’arrêt qui avait rejeté la demande au seul motif que l’intéressé, expert-comptable et commissaire aux comptes condamné pour escroquerie fiscale, jouerait un rôle dans la vie publique : la cour d’appel aurait dû vérifier concrètement la stricte nécessité du maintien des liens. Pour la victime d’un moteur alimenté par des fuites, l’argument est transposable : la diffusion d’identifiants administratifs ou bancaires ne répond à aucun droit à l’information du public, et leur stricte nécessité ne pourra pratiquement jamais être démontrée. Deux niveaux d’action se complètent donc : l’effacement à la source auprès de l’exploitant du moteur litigieux, et le déréférencement auprès des moteurs de recherche grand public qui indexeraient ces pages, chacun pouvant être ordonné par le juge saisi d’une demande précise et documentée.
II. Comment faire sanctionner les faits et obtenir réparation
A. Quelles infractions sont encourues et à quoi sert le signalement au procureur
Le signalement annoncé le 5 octobre 2026 repose sur un mécanisme que la loi confie à toute autorité publique informée d’une infraction : l’article 40 du code de procédure pénale, dans sa version applicable à cette date, dispose que « Toute autorité constituée, tout officier public ou fonctionnaire qui, dans l’exercice de ses fonctions, acquiert la connaissance d’un crime ou d’un délit est tenu d’en donner avis sans délai au procureur de la République et de transmettre à ce magistrat tous les renseignements, procès-verbaux et actes qui y sont relatifs. » Le procureur de Paris, destinataire du signalement, apprécie la suite à donner : ouverture d’une enquête préliminaire, réquisitions, classement sans suite ou renvoi devant une juridiction. Un signalement, même ministériel, ne préjuge de rien : il déclenche l’examen du parquet, et lui seul, sous le contrôle du juge, décidera des poursuites puis de la culpabilité. La présomption d’innocence s’applique pleinement tant qu’aucune condamnation définitive n’est intervenue. Les qualifications pénales exactes devront être établies par l’enquête conduite sous l’autorité du parquet ; à ce stade, elles se formulent au conditionnel, au regard des textes examinés ci-après.
Si les faits étaient établis, plusieurs incriminations pourraient être regardées comme applicables. D’abord, l’atteinte aux systèmes de traitement automatisé de données : l’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », et porte la peine à cinq ans d’emprisonnement et 150 000 euros d’amende « Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système ». Ensuite, l’exploitation même des données extraites : l’article 323-3 du même code dispose que « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » La Cour de cassation donne à ce texte une portée redoutable pour qui manipule des données à l’insu d’autrui : dans un arrêt du 8 juin 2021 rendu sur le pourvoi n° 20-85.853 et publié au Bulletin, la chambre criminelle a jugé que « des modifications ou suppressions de données sont nécessairement frauduleuses dès lors qu’elles ont été sciemment dissimulées à au moins un autre utilisateur d’un tel système, même s’il n’est pas titulaire de droits de modification ». La dissimulation, même entre utilisateurs autorisés, suffit donc à caractériser la fraude.
Deux autres incriminations protègent directement les personnes fichées. D’une part, la collecte déloyale : l’article 226-18 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite ». La constitution d’un gigantesque index à partir de fuites, sans information ni consentement des personnes, serait susceptible d’entrer dans cette définition si l’enquête établissait le caractère frauduleux ou déloyal de la collecte. D’autre part, la divulgation : l’article 226-22 du même code punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait, par toute personne qui a recueilli, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet de porter atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée, de porter, sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir ». La mise à disposition d’adresses, de numéros de sécurité sociale ou de coordonnées bancaires à n’importe quel visiteur d’un site correspondrait, sous réserve de l’appréciation du juge, au schéma de ce texte. Pour la personne concernée, la voie pénale s’ouvre par le dépôt de plainte auprès du procureur de la République ou des services de police et de gendarmerie, avec constitution de partie civile pour demander réparation dans le procès pénal. Chaque plainte documentée — captures datées montrant la diffusion, échanges avec l’exploitant, preuve de la demande d’effacement restée sans réponse — nourrit à la fois l’enquête du parquet et la future action en réparation.
B. Comment obtenir réparation de votre préjudice
Obtenir l’effacement et punir les responsables ne suffit pas toujours : la diffusion de données confidentielles cause un dommage qu’il faut faire réparer. Le fondement civil de droit commun est la responsabilité pour faute : l’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Celui qui exploite un traitement illicite de données commet une faute au sens de ce texte, et la victime peut lui demander réparation devant le tribunal judiciaire, y compris en référé sur le fondement de l’article 9 du code civil pour faire cesser l’atteinte, puis au fond pour chiffrer le préjudice. En matière de données personnelles, le règlement européen ouvre en outre un droit propre à réparation, mais la Cour de cassation vient d’en rappeler strictement les conditions : dans un arrêt du 24 juin 2026 rendu sur le pourvoi n° 24-22.792 et publié au Bulletin, la chambre sociale a jugé que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation et qu’il lui appartenait d’apprécier si le salarié établissait que la violation de ce règlement qu’elle avait constatée avait causé au salarié un dommage matériel ou moral ». La Cour s’appuie sur la jurisprudence de la Cour de justice de l’Union européenne, notamment les arrêts du 4 mai 2023 (Österreichische Post, C-300/21) et du 25 janvier 2024 (C-687/21), dont elle rappelle que « la personne demandant réparation au titre de cette disposition est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral », et que « une réparation pécuniaire fondée sur ladite disposition doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive ». La réparation remplit donc une fonction compensatoire, jamais punitive : le juge indemnise le préjudice réellement démontré, euro par euro, et rejette les demandes qui se contenteraient d’invoquer la violation abstraite du règlement.
La constitution du dossier de preuves conditionne par conséquent tout le succès de l’action. Conservez d’abord la trace de vos démarches d’effacement : demande écrite, accusé de réception, absence de réponse au bout d’un mois, réclamation à la CNIL et sa réponse. Faites ensuite constater la diffusion elle-même : captures d’écran datées montrant vos données accessibles, relevés des recherches effectuées, attestations de proches ayant vu les informations, et si possible constat établi par un officier ministériel, dont la force probante est supérieure à de simples impressions. Documentez enfin le dommage concret : opérations bancaires contestées après l’exposition de vos coordonnées, frais engagés pour faire opposition ou renouveler vos moyens de paiement, démarches auprès des organismes sociaux après la diffusion de votre numéro de sécurité sociale, courriels de démarchage ou tentatives d’escroquerie reçus depuis, et retentissement personnel de l’exposition — anxiété, temps passé, démarches répétées — étayé par des pièces, car le dommage moral, lui aussi, se prouve. C’est cet ensemble qui permettra au juge de chiffrer une indemnisation intégrale du préjudice subi, sans laquelle, comme l’a rappelé la chambre sociale le 24 juin 2026, la violation du règlement ne suffit pas. Et parce que la tentation est documentée par la presse — le moteur litigieux proposerait un retrait payant —, redisons-le une dernière fois à la suite de la ministre : ne versez aucune somme pour faire retirer vos données. Un paiement n’offre aucune garantie de suppression réelle, il finance le modèle même que la justice est saisie d’examiner, et il complique la démonstration ultérieure de votre bonne foi. Ces démarches s’accomplissent sans verser aucune somme : demande d’effacement, CNIL sous trois semaines en cas d’échec, juge des référés en cas d’urgence, plainte pénale et action en réparation sur préjudice prouvé.
Conclusion
Face à un moteur de recherche qui expose vos données personnelles à partir de fuites, quatre réflexes s’enchaînent dans un ordre précis. D’abord, exercez vos droits par écrit auprès de l’exploitant : accès pour savoir ce qu’il détient, effacement pour exiger la suppression, opposition pour faire cesser le traitement, avec une attention particulière aux données des mineurs que le responsable doit effacer dans les meilleurs délais. Ensuite, en cas d’absence de réponse ou de non-exécution dans un délai d’un mois, saisissez la CNIL, qui se prononce dans un délai de trois semaines et peut avertir l’exploitant, le rappeler à ses obligations ou le mettre en demeure. Parallèlement, si l’urgence le commande, demandez au juge des référés, sur le fondement du droit au respect de la vie privée, des mesures précises de retrait et de déréférencement, lien par lien : la Cour de cassation exige une mise en balance concrète des intérêts et refuse les injonctions générales automatiques, tout en se montrant particulièrement stricte quand des données sensibles sont en cause. Enfin, déposez plainte pour faire constater les infractions — accès frauduleux, extraction et détention frauduleuse, collecte déloyale, divulgation non autorisée — et agissez en réparation sur le fondement de la responsabilité civile, en sachant que la violation du règlement européen ne suffit pas à elle seule : vous devrez établir un dommage matériel ou moral concret, pièces à l’appui, pour obtenir une indemnisation intégrale à fonction compensatoire. Rappelons les réserves qui encadrent ce dossier : à la date de rédaction, le signalement ministériel du 5 octobre 2026 au procureur de Paris n’est ni une condamnation ni une responsabilité établie, aucune décision de justice n’a été rendue, et seule la justice, après enquête et débat contradictoire, dira si les infractions sont constituées et qui doit en répondre. Ne payez jamais pour un effacement : la loi permet de l’obtenir directement, et les voies décrites ici suffisent à le faire valoir.